Расширение браузера CursedChrome превращает ваш браузер в хакерский прокси – бот!

CursedChrome показывает, как хакеры могут получить полный контроль над вашим браузером Chrome, используя только одно расширение.

На прошлой неделе исследователь безопасности опубликовал проверенное им расширение Chrome, которое превращает браузеры Chrome в прокси-ботов, позволяя хакерам перемещаться по сети, используя идентификационные данные зараженного пользователя.

Инструмент под названием CursedChrome был создан исследователем безопасности Мэтью Брайантом и выпущен на GitHub как проект с открытым исходным кодом.

CursedChrome состоит из двух разных частей - клиентского компонента (самого расширения Chrome) и серверного аналога (панели управления, где отображаются все боты CursedChrome).

После того как расширение установлено в нескольких браузерах, злоумышленник может войти в панель управления CursedChrome и установить соединение с каждым зараженным хостом.

Связь между расширением и панелью управления представляет собой простое соединение WebSocket, которое работает как классический обратный прокси-сервер HTTP.

Это означает, что после того, как злоумышленник подключится к зараженному хосту, он сможет перемещаться по сети, используя зараженный браузер, и таким образом перехватывать вошедшие в систему сеансы и сетевые удостоверения для доступа к запрещенным областям, таким как интрасети или корпоративные приложения.

Вот почему выпуск расширения сопровождался довольно громким шумом со стороны сообщества кибербезопасности, который утверждал, что выпуск чего-то вроде CursedChrome не делает ничего, кроме как понижает полосу входа для злоумышленников при разработке собственных вредоносных версий CursedChrome в будущем.

CURSEDCHROME был создан как инструмент пентестера!

Однако на прошлой неделе Брайант сказал, что это вовсе не было его намерением.

«Я открыл исходный код, потому что хочу, чтобы другие профессиональные «красные тимеры» и тестировщики  могли точно имитировать сценарий « расширения вредоносного браузера », - сказал Брайант.

Специалисты по безопасности, которым платят за проникновение в компании. Их работа имеет решающее значение, так как они представляют отчеты о том, что они находят, поэтому компании могут исправлять проблемы и не допускать хакеров.

Инструменты для сорсинга важны для красных команд по тем же причинам, что и любая другая работа: это экономит время для команд в разных компаниях от необходимости переписывать все, когда они делают. Это на самом деле вдвойне важно для нас, потому что тестеры и красные команды работают в очень сжатые сроки », - сказал Брайант.

Исследователь также сообщил, что CursedChrome - это не что то особенное, что злоумышленник не мог создать сам. Проект работает на уже существующих технологиях и не приносит никаких инноваций.

«Подобные инструменты, такие как « Pivot браузера CobaltStrike » (для InternetExplorer) и среда BeEF с открытым исходным кодом, существуют уже много лет, и технические подробности о том, как выполнить эту атаку, свободно доступны в Интернете », - сказал Брайант.

Кроме того, Брайант не боится, что хакеры могут использовать его код. Оружие CursedChrome требует, чтобы злоумышленники либо (1) размещали расширение в Интернет-магазине Chrome, либо (2) устанавливали его с помощью политики предприятия или в режиме разработчика Chrome.

Брайант говорит, что первый сценарий вряд ли сработает, поскольку «конвейер проверки расширений [...] интернет-магазина чрезвычайно эффективен для предотвращения потенциально вредоносных расширений», тогда как второй сценарий требует, чтобы злоумышленник имел доступ к сети компании .

Исследователь хочет повысить осведомленность.

Вместо этого исследователь заявил, что хочет повысить осведомленность о вредоносных расширениях Chrome и о том ущербе, который они могут нанести в корпоративных средах.

В настоящее время, поскольку большинство компаний используют все больше и больше веб-инструментов, расширения браузеров важны как никогда.

Сотрудник, который игнорирует правила компании и устанавливает вредоносное расширение, может создать дыру в защите своей компании, позволяя хакерам обходить межсетевые экраны или фильтры VPN.

«Важно повышать осведомленность о том, какой уровень доступа вы предоставляете, когда устанавливаете произвольное расширение для своего браузера», - сказал Брайант.

Исследователь говорит, что с помощью чего-то вроде CursedChrome тестеры могут показать компаниям, насколько они действительно уязвимы, когда они не контролируют то, что сотрудники могут устанавливать в своих браузерах.

Но Брайант не из тех, кто указывает пальцем на проблему чтобы пошуметь. Помимо предоставления инструмента для тестирования пера,

исследователь также предоставил решение в форме второго проекта, который он также открыл на GitHub.

Названный ChromeGalvanizer, это веб-инструмент, который генерирует корпоративные политики, которые могут быть установлены на всех рабочих станциях компании.

ИТ-администраторы могут использовать ChromeGalvanizer, чтобы разрешить или запретить расширениям Chrome доступ к определенным URL-адресам и связанным с ним данным.

Таким образом, даже если пользователь устанавливает вредоносное расширение Chrome, оно не сможет украсть данные, связанные с определенными сайтами, такими как интрасети и корпоративные приложения.

 «Они работают на уровне операционной системы, а не на уровне браузера, поэтому расширение не может обойти эти правила каким-либо образом или в какой-либо форме.

Хотя сообщество информационной безопасности (infosec) может негативно отреагировать на то, что время от времени выпускаются «инструменты оскорбительного хакерства», Брайант говорит, что у них есть свои роли.

Это включает в себя такие инструменты, как Modlishka, FacebookWeasel, Metasploit и другие.

«Реальный пример этого - еще один инструмент, который я написал для слепых.

"Брайант говорит, что уязвимости в сценариях сайтов (XSS), называемые XSSHunter".

«До того, как я выпустил инструмент и сделал его простым в использовании и общедоступным, большинство людей, с которыми я общался, даже не верили, что «слепой XSS» был настоящей проблемой.

Я слышал такие вещи, как« Я уверен, что теоретически могло случиться, но я никогда не видел это, и  я не думаю, что это на самом деле эксплуатируется ".

«Эти мнения были, потому что никто не искал его, поэтому никто не находил его. Как только я выпустил сервис и инструменты, исследователи безопасности начали находить и сообщать о слепом XSS повсюду.

Сегодня  это то, что все считают серьезной проблемой, и осознание этой проблемы привело к исправлению множества критических ошибок».

  Теперь Брайант надеется, что и CursedChrome, и ChromeGalvanizer захватят сообщество и помогут компаниям защитить свои компьютерные сети от вредоносных расширений Chrome